41% des entreprises françaises surestiment leur maturité en cybersécurité

Notre nouvelle étude révèle que 41 % des entreprises françaises sont moins matures en termes de cybersécurité́ qu’elles ne le pensent. Bien que 53 % des entreprises françaises interrogées considèrent leur niveau de maturité en cybersécurité comme élevé, cette perception ne reflète pas la réalité du terrain car elles sont nombreuses à ne pas avoir mis en place les mesures et les dispositifs indispensables pour l’atteindre. Il est par exemple surprenant de constater que 14% des entreprises ayant déclaré avoir une maturité en cybersécurité très élevée n’ont pas mis en place de stratégie de cybersécurité.

En outre, l’engagement du Comex dans la prise de décisions concernant la cybersécurité reste faible : seulement 41% des entreprises ayant mis en place une stratégie de cybersécurité la décident au niveau de la direction générale et du COMEX. Le manque est encore plus apparent en matière de suivi régulier car seulement un RSSI (Responsable de la Sécurité des Systèmes d’Informations) sur cinq reporte au Comex ou à la direction générale. L’implication du Comex est pourtant une condition sine quoi non pour aligner la stratégie de l’entreprise en matière de cybersécurité aux enjeux « business » et métiers.

Le budget dédié à la cybersécurité reste aussi assez restreint. Ainsi, 62% des entreprises consacrent moins de 5% de leur budget IT à la cybersécurité. Toutefois, la prise de conscience est aussi au rendez-vous. Une grande majorité des entreprises interrogées a prévu de rattraper ce retard en investissement et souhaitent augmenter leur budget dédié à la cybersécurité dans les deux prochaines années dont 52% avec une augmentation de plus de 10%.

La sensibilisation et la formation des collaborateurs est une mesure clé de prévention, mise en place par 65% des entreprises interrogées. Cela montre que les entreprises sont conscientes de l’importance du facteur humain en termes de cybersécurité. L’efficacité de ces formations dépend toutefois de la volonté des collaborateurs d’adhérer aux bonnes pratiques et la résistance au changement des collaborateurs figure dans les principaux défis auxquels sont confrontées les entreprises interrogées, juste derrière la complexité du paysage informatique et la pénurie des talents.

L’enquête a aussi mis en exergue des lacunes au niveau de la mise en place des technologies essentielles. Par exemple, les dispositifs de gouvernance, risque, et conformité (GRC – Gestion de la Relation Client), indispensables à la fois pour la conformité réglementaire et pour la bonne image des entreprises, ont été mis en place par environ une entreprise sur deux. Il en va de même pour les dispositifs de sécurité du cloud mis en place par seulement 44% des entreprises interrogées.

La situation est encore moins réjouissante avec les dispositifs de pointe de cybersécurité tels que les SOC (Security Operations Center) de nouvelle génération, zero trust (SASE – Secure Access Service Edge, microsegmentation) et une démarche « paswordless » généralisé, multi-factor (MFA) et contextuelle. Moins d’un tiers des entreprises interrogées en ont mis en place. Il est assez étonnant de constater que les entreprises qui n’ont pas prévu de mettre en place ces solutions l’expliquent par l’absence de valeur ajoutée de ces dispositifs, tandis que les entreprises qui les ont mis en place soulignent les nombreux bénéfices qu’elles ont pu constater. Ceci explique l’importance du travail de sensibilisation que les éditeurs et les prestataires de services doivent faire sur le caractère indispensable de ces solutions auprès de leurs clients.

Malgré cela, on constate une évolution globale des approches envers la cybersécurité. Conscientes que la cybersécurité parfaite n’existe pas, de plus en plus d’entreprises pensent en termes de cyberrésilience. Comme le montre les résultats de notre enquête, environ une entreprise sur deux a mis en œuvre les dispositifs de gestion de crise et de cyberrésilience. Les prestataires de services ont un rôle clé à jouer pour aider les entreprises à mieux comprendre leur maturité en cybersécurité et les accompagner envers le niveau souhaité.

A propos de l'étude

Cette étude PAC sur la cybersécurité en France a été rendue possible grâce au soutien de deux sponsors : Sopra Steria et Inetum. Le partenariat avec le CRiP et l’engagement actif de ses membres dans l’enquête menée nous a permis d’élargir notre échantillon et assurer la fiabilité des résultats. L’échantillon est composé des 350 entreprises françaises, grandes entreprises (43%) et ETI (54%), de différents secteurs. Tous les participants sont impliqués dans la prise de décision sur les initiatives de leur entreprise concernant la cybersécurité́ (DSI, RSSI, Directeur ...).

L'infographie et les principales conclusions sont disponibles gratuitement en cliquant ici